- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

PKI, nur ein Teil des Puzzles


Wie Hersteller einen IoT-Botnet-Angriff verhindern können
Die Wurzel des Übels sind schlechte Authentifizierungspraktiken

- Anzeigen -





Wir haben uns in diesem Jahr bereits mit der Bedrohung durch sogenannte Thingbots beschäftigt – also Bot-Netzen, die aus Zombie-IoT-Geräten bestehen. In jüngster Zeit hatten wir dann Gelegenheit zu beobachten, dass und wie dieses Bedrohungsszenario inzwischen Realität geworden ist. Thingbots wurden bei raffinierten DDoS-Angriffen auf die Seite des Journalisten und IT-Sicherheitsbloggers Brian Krebs, KrebsOnSecurity, und beim DNS-Anbieter Dyn eingesetzt. Letzterer führte dazu, dass Nutzer auf einige der am häufigsten besuchten Websites nicht mehr zugreifen konnten.

Wie aber werden aus "unschuldigen" Dingen Thingbots?
Nehmen wir das Mirai-Botnet, verantwortlich für die beiden oben genannten Attacken, als Beispiel dafür, wie Thingbots funktionieren. Mirai umfasst derzeit weltweit rund 500.000 kompromittierte IoT-Geräte wie Überwachungskameras, Router und digitale Videorekorder [DVRs]). Dabei scannt Mirai kontinuierlich auf Schwachstellen und richtet sich gegen Geräte mit häufig verwendeten Standard-Anmeldeinformationen. Man nimmt an, dass mithilfe von Wörterbuchangriffen die anvisierten Geräte in zirka 10 Minuten von Mirai kompromittiert oder übernommen werden können.

Die Wurzel des Übels sind schlechte Authentifizierungspraktiken. Die Standard-Passwörter werden während des Herstellungsprozesses im Gerät hartcodiert. Die Größe des Mirai-Botnets zeigt deutlich, dass, wenn das Gerät einmal in Gebrauch ist, die Standard-Passwörter nicht mehr aktualisiert worden sind. Das macht sie anfällig von Mirai oder anderen Bot-Netz-Typen ausgenutzt zu werden.

Bot-Netze verhindern: Best Practices für Gerätehersteller
Werfen wir einen Blick auf einige Best Practices, die Hersteller in Betracht ziehen sollten, um ihre Geräte von Anfang an davor zu schützen, Teil eines Thingbots zu werden.

Prüfen Sie die Funktionen der Geräte. Brauchen sie tatsächlich einen Remote-Zugang und müssen sich die Geräte wirklich remote verwalten lassen? Oder kann man diese Authentifizierung innerhalb der Geräteumgebung eliminieren? Damit wäre dann wenigstens das Schlupfloch geschlossen, das Mirai derzeit benutzt um auf Geräte zuzugreifen und sie anschließend zu übernehmen. Wenn man unbedingt einen Remote-Zugang braucht oder verwenden will, sollte man grundsätzlich starke Geräteauthentifizierung verwenden.

Mirai macht sich nicht ohne Grund den anfälligsten Teil von Geräte-Passwörtern zunutze. Standard-Passwörter werden nicht nur selten geändert, sie sind auch selten einzigartig. Oftmals werden sie für zahlreiche Geräte wiederverwendet.

OWASP hat einige grundlegende Tipps zur Passwortrichtlinie für IoT-Gerätehersteller zusammengestellt, die helfen derartige Angriffe in Zukunft zu verhindern. Empfehlenswert ist es allerdings über das Passwort hinaus starke Authentifizierungsmethoden zu erwägen.

PKI beispielsweise bietet einige Vorteile für eine starke Geräteauthentifizierung. Strukturell ist eine Public Key Infrastructure so angelegt, dass es technisch schwierig bis unmöglich ist, sie zu täuschen. Verwendet man PKI als Teil des Authentifizierungsprozesses, verhindert das Wörterbuch-basierte Angriffe, wie im Fall des Mirai-Botnets.

Mit PKI hat man außerdem die Möglichkeit, eindeutige Anmeldeinformationen zur Authentifizierung für die jeweiligen Entitäten (sowohl Geräte als auch Dienste) zu verwenden. Zum Zeitpunkt des Gerätebaus ist es besser eindeutige Authentifizierungsanmeldeinformationen pro Gerät aufzunehmen statt gemeinsamer oder häufiger Anmeldeinformationen für eine Reihe von Geräten. Noch besser ist es, Hardware-basierte Sicherheitselemente einzusetzen, um die privaten Schlüssel auf den Geräten zu schützen und zu verhindern, dass die Anmeldeinformationen von den Geräten selbst gestohlen oder abgezogen werden.

Erwägen Sie starke Authentifizierung für administrative Benutzer und Dienste
Wenn Sie das Einloggen in das Gerät selbst für administrative Zwecke - entweder für Benutzer oder Dienste - aktivieren wollen, müssen Sie auch hier stärkere Authentifizierungsmethoden verwenden wie beispielsweise ein PKI-basiertes Vertrauensmodell.

Hierbei erhalten die Geräte schon bei der Produktion oder der Bereitstellung einen Trust Anchor (einem Basisschlüssel) von einer Zertifizierungsstelle. Dazu kommen unter Umständen weitere Authentifizierungsregeln, wie etwa zu erwartende Domains von vertrauenswürdigen Servern. Auf diese Weise nutzen Geräte stärkere Authentifizierungsmethoden beim Ausführen von Diensten als nur Benutzernamen und Passwort.

Autorisierte Software- und Firmwareupdates sicherstellen
Als zusätzliche Sicherheitsebene sollten Geräte mit einer Logik konfiguriert werden, die Softwareupdates verifiziert, die von einem bestimmten Dienst geschickt werden. Das trägt dazu bei nur vertrauenswürdige Software zu installieren und keine Malware wie es beim Dyn-Angriff der Fall war. Die Validierungslogik basiert ebenfalls auf Trust Anchors oder Roots. Sie wird dann bereits während des Herstellungsprozesses auf dem Gerät bereitgestellt und verifiziert vor der Ausführung oder Installation ob eine Software vertrauenswürdig ist oder nicht.

Dazu muss es auf dem Gerät selbst eine Möglichkeit geben, Trusted Roots so zu verwenden. Ein weiterer Bereich, in dem man auf PKI zurückgreifen kann. Etwa in dem man signierten Code verwendet, der an die Identität des Entwicklers gebunden ist. Die im digitalen Zertifikat repräsentierte digitale Signatur und Identität werden dann vor der Ausführung verifiziert. So lässt sich z. B. festlegen, dass nur Software der Firma XYZ, die mit einem bestimmten Zertifikatstyp signiert ist, installiert wird.

PKI, nur ein Teil des Puzzles
IoT-Sicherheit ist für jeden Gerätehersteller ein immens wichtiges Thema. Es gibt viele praktikable Ansätze, Angriffe wie solche über das Mirai-Bot-Netz zu verhindern. Wir haben uns an dieser Stelle nur mit einem Teilaspekt beschäftigt. Der Umfang der gewählten Lösung hängt von der Art des Risikoprofils ab und den Strategien des Unternehmens es zu senken. Es existiert aber bereits eine recht gut etablierte Basis von Mindestanforderungen, die IoT-Anbieter umsetzen sollten. Tipps dazu liefern OWASP, OTA und Underwriters Lab. (GlobalSign: ra)

eingetragen: 22.12.16
Home & Newsletterlauf: 24.01.17


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Wieder neue Masche beim CEO-Betrug

    Im letzten Dezember war es noch ein angeblicher Mitarbeiter des Bundeskanzleramts, aktuell meldet sich "Daniel Fischer" vom Auswärtigen Amt per E-Mail oder am Telefon bei deutschen Unternehmen - die Details wechseln, aber in allen Fällen handelt es sich um einen Betrugsversuch. "Daniel Fischer" bittet um ein vertrauliches Gespräch mit der Geschäftsleitung des Unternehmens. In diesem Gespräch erläutert er, dass die Bundesregierung für den Freikauf deutscher Geiseln in Mali finanzielle Unterstützung der Privatwirtschaft benötige.

  • Vier Tipps, um Hackern Tür und Tor zu öffnen

    Nach wie vor setzen viele Unternehmen und Anbieter alleine auf das traditionelle Passwort, um ihre Anwendungen zu schützen. Große Datenlecks wie das Rekord-Beispiel Yahoo haben allerdings gezeigt, dass diese Art der Absicherung längst nicht mehr zeitgemäß ist. Oft sind es die Verbraucher selbst, die Hacker durch lasche Kennwörter einladen, in ihre digitalen Konten einzudringen. Pascal Jacober, Sales Manager DACH bei Ping Identity gibt vier Empfehlungen, wie es Hackern besonders leicht gemacht wird.

  • Wie funktionieren Endpoint-Attacken?

    Bei Cyber-Attacken führen die Angreifer meistens verschiedene Schritte durch, um an ihr Ziel zu kommen. Deshalb ist es besonders wichtig, diese Schritte zu kennen. Dabei hat sich eine umfassende Verteidigungsstrategie mit überlappenden Schutzschichten als bester Ansatz für die Cybersicherheit erwiesen. Bei der Angriffskette lassen sich sieben Stufen identifizieren, über die man Klarheit haben sollte: Aufklärung, Art des Angriffs, Weg der Infizierung, Art des Schadprogramms, Installation, Command & Control und letztlich die Aktion oder Ausführung. Diese komplexe und sich teils überschneidende Standardkette ist oftmals komplizierter als nötig. Daher reicht es tatsächlich, mit einer einfacheren, endpunktspezifischen Angriffskette zu beginnen, die nur aus drei wesentlichen Schritten besteht.

  • Kluft zwischen IT-Teams und Chefetage

    "Führungskräfte müssen sich direkt mit Cloud- und Sicherheitsexperten auseinandersetzen, sonst versäumen sie es, wertvolle Ressourcen zu nutzen. Durch eine enge Zusammenarbeit über alle Ebenen hinweg lassen sich die Geschäftsergebnisse verbessern und gleichzeitig der Schutz für Anwendungen, Betriebsgüter und Kundendaten erhöhen", sagte Andreas Riepen, Vice President DACH, F5 Networks. Die Zahl der Sicherheitsverletzungen ist im Vergleich zum Vorjahr um 27 Prozent gestiegen. Gleichzeitig haben Unternehmen 2017 durchschnittlich 22 Prozent mehr für ihre Cybersicherheit ausgegeben (9,5 Millionen Euro). Das belegt eine Studie, die das Ponemon Institut im Auftrag von F5 Networks durchgeführt hat. Doch nicht immer werden diese Mehraufwände strategisch eingesetzt.

  • Shadow IT: Ein erhebliches Compliance-Risiko

    Die EU-Datenschutzgrundverordnung (DSGVO) kommt und es besteht auf Unternehmensseite noch immer akuter Handlungsbedarf. Kaseya gibt Tipps, wie Firmen mit der richtigen Technologie schneller und einfacher zum Ziel der DSGVO-Konformität kommen. Stilllegen von Devices: Verlorene oder gestohlene Geräte müssen auf jeden Fall außer Betrieb genommen werden. Das gilt auch, wenn der Mitarbeiter das Unternehmen verlässt oder das Gerät entfernt wird. Der Nutzer und seine Zugangsmöglichkeiten müssen für alle Systeme genauso sorgfältig aufgehoben werden, wie sie aufgesetzt wurden. Ganz gleich, ob es um Angestellte, Kunden, Admins oder Partner geht. Neben dem Aufheben von Nutzerrechten ist es wichtig, Daten zu beseitigen und zwar so, dass sie nicht wiederhergestellt werden können. Mit regulären Methoden lassen sich die Daten nicht sicher vernichten. Landet das Gerät dann als Spende in der nächsten Schule oder einfach auf dem Müll, droht das Unternehmen DSGVO-Vorgaben zu verletzen. Wurde ein Gerät gestohlen oder ist es verloren gegangen, muss die Firma in der Lage sein, es per Fernzugriff abzuschalten, Daten zu verschlüsseln oder es sogar zu formatieren.